相談窓口の外部委託、個人情報保護法で人事が負う監督義務とは
個人情報保護法第25条は、相談窓口業務を外部委託しても、委託先の安全管理について委託元に必要かつ適切な監督を行う義務を課しています。ガイドラインはこの監督を「適切な委託先の選定」「委託契約の締結」「委託先における取扱状況の把握」という3つの措置として具体化しています。
従業員向けの社外相談窓口を外部の事業者に委託しても、個人情報保護法上の責任が委託先に移るわけではありません。委託する側である貴社には、個人情報保護法第25条に基づき、委託先の安全管理を確保するための「必要かつ適切な監督」を行う義務が残ります。
相談窓口を外部委託すると、人事にはどんな義務が残るのか
相談窓口を社外の事業者に委託する場合、人事・総務部門は「委託したから終わり」にはできません。個人情報保護法は、個人データの取扱いを委託した場合であっても、委託元である貴社に委託先の監督責任を課しています。委託先が不適切な取扱いを行えば、監督を怠った委託元の責任が問われる構造です。
個人情報保護法第25条が定める「委託先の監督」義務
根拠となるのは個人情報保護法第25条です。2026年10月24日時点の条文は次のとおりです。
「個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。」
個人情報の保護に関する法律 第二十五条（委託先の監督）
ここでいう「委託」とは、相談窓口の運営そのものを社外のEAP事業者やカウンセリング会社に任せる場合を含みます。従業員の氏名、所属、相談内容に関する情報が委託先に渡る以上、この条文の対象になります。
委託先に求められる水準——第23条が定める安全管理措置
第25条の「必要かつ適切な監督」は、何を基準に行うのでしょうか。手がかりは第23条にあります。
「個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。」
個人情報の保護に関する法律 第二十三条（安全管理措置）
委託元である貴社自身がこの第23条の水準で安全管理措置を講じる義務を負っている以上、委託先にも同じ水準を求めることになります。「委託先任せ」にできない理由がここにあります。
ガイドラインが示す3つの措置
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-4-4は、第25条の監督義務を具体化しています。
「個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託（※1）する場合は、委託を受けた者（以下「委託先」という。）において当該個人データについて安全管理措置が適切に講じられるよう、委託先に対し必要かつ適切な監督をしなければならない。」
個人情報の保護に関する法律についてのガイドライン（通則編）3-4-4 委託先の監督（法第25条関係）
このガイドラインは、監督の内容を「適切な委託先の選定」「委託契約の締結」「委託先における個人データ取扱状況の把握」という3つの段階に分けて示しています。順序立てて整理すると次のようになります。
委託先監督の3つの段階
- 選定委託前に、委託先の安全管理措置の水準を確認する
- 契約安全管理措置の内容を委託契約に明記する
- 把握委託後も、委託先における取扱状況を継続的に確認する
委託先を選ぶときに確認すべき基準
最初の段階である「選定」について、ガイドラインは確認すべき水準を具体的に示しています。
「委託先の選定に当たっては、委託先の安全管理措置が、少なくとも法第23条及び本ガイドラインで委託元に求められるものと同等であることを確認するため、「10（（別添）講ずべき安全管理措置の内容）」に定める各項目が、委託する業務内容に沿って、確実に実施されることについて、あらかじめ確認しなければならない。」
個人情報の保護に関する法律についてのガイドライン（通則編）3-4-4（１）適切な委託先の選定
つまり、委託先が自社とは別の会社であることは、安全管理の水準を下げる理由にはなりません。相談窓口の委託先を選ぶ際は、少なくとも次の点を、委託する業務内容に沿って確認する必要があります。
委託先選定時に確認すること
- 安全管理措置の内容が、委託する相談窓口業務の実態に沿って具体的に説明できるか
- 相談記録や連絡先情報へのアクセス権限が、必要な担当者に限定されているか
- 再委託を行う場合、再委託先にも同等の水準を求める仕組みがあるか
- やってはいけないこと：認証の名称やパンフレットの記載だけで確認を終える
相談窓口特有の論点：カウンセリング内容は「要配慮個人情報」に当たりうる
相談窓口の委託には、一般的な業務委託と異なる論点があります。従業員が相談窓口に話す内容には、心身の状態に関する情報が含まれることがあります。個人情報保護法上、こうした情報は通常の個人情報より取扱いに注意を要する「要配慮個人情報」に当たり得るものです。委託先の選定や監督においても、この点を踏まえた確認が必要になります。何が要配慮個人情報に当たるかの判断は、取り扱う情報の内容によって変わるため、個別の相談内容を基に法務部門や専門家と確認することをおすすめします。
委託契約に入れておくべき項目
ガイドラインが示す2段目「委託契約の締結」では、選定時に確認した安全管理措置の内容を、契約として明文化することが求められます。相談窓口の委託契約では、少なくとも次の内容を明記しているか確認してください。
安全管理措置の内容
委託先が講じる安全管理措置の具体的な内容を契約書に明記する。
再委託の条件
再委託を行う場合の条件と、再委託先への同等水準の要求を定める。
委託終了時の取扱い
契約終了時に、委託先が保有する情報をどう返却・削除するかを定める。
取扱状況の確認方法
委託期間中、委託先の取扱状況をどのように確認するかを定める。
委託後、何を確認し続けるべきか
ガイドラインが示す3段目「委託先における個人データ取扱状況の把握」は、契約を結んだ時点では終わりません。委託先が実際にどのように情報を取り扱っているかを、委託期間中も継続的に確認する必要があります。確認の方法や頻度は業務内容によって異なりますが、「契約書に書いたから安心」と考えず、定期的に実態を確認する仕組みを社内に持っておくことが、監督義務を果たすための前提になります。
よくある誤解
委託に関するよくある誤解
- 「委託すれば責任も委託先に移る」と考えている誤り。監督義務は委託元に残る
- 「認証を持っている会社だから確認は不要」と考えている誤り。業務内容に沿った確認が必要
- 「契約を結んだ時点で監督は完了」と考えている誤り。取扱状況の継続的な把握が必要
- 「相談内容も通常の個人情報と同じ扱いでよい」と考えている注意。要配慮個人情報に当たり得る情報を含む
相談窓口の委託先選定や監督の体制を見直す際は、自社がこの3つの段階（選定・契約・把握）のどこまでを実際に行えているかを、まず確認することから始められます。社外の相談窓口の設計や委託先の監督体制についてご不明な点があれば、お気軽にお問い合わせください。
よくあるご質問
相談窓口を外部委託すれば、個人情報保護の責任も委託先に移るのですか。
移りません。個人情報保護法第25条は、委託する側（委託元）に対して、委託先の安全管理が図られるよう必要かつ適切な監督を行う義務を課しています。委託先が不適切な取扱いをした場合、委託元の監督責任が問われます。
委託先の選定時に必ず確認すべきことは何ですか。
個人情報保護委員会のガイドラインは、委託先の安全管理措置が少なくとも法第23条および同ガイドラインで委託元に求められる水準と同等であることを、委託する業務内容に沿って事前に確認することを求めています。
委託先の監督は契約を結んだ時点で終わりですか。
終わりません。ガイドラインは、委託先における個人データの取扱状況を定期的な監査などによって把握し、必要に応じて契約内容を見直すことも、必要かつ適切な措置の一部としています。
相談窓口が扱う情報は、通常の個人情報と同じ基準で良いのですか。
相談内容には心身の状態に関する情報が含まれ得るため、通常の個人情報より慎重な取扱いが求められる場面があります。委託先選定でもこの点を踏まえた確認が必要です。
社外相談窓口の選定を進めている段階でしたら
United World Counseling は、企業の従業員向けのオンラインカウンセリングです。何が企業に報告され、何が報告されないかを書面でお示しします。まず条件を確認したい段階でもご相談いただけます。
導入について問い合わせる